כיצד להשתמש ב-Wireshark ב-Windows: מדריך מלא, מעשי ועדכני

האם תהית אי פעם מה באמת קורה ברשת שלך כשאתה גולש, משחק באינטרנט או מנהל מכשירים מחוברים? אם אתם פשוט סקרנים לגבי התעלומות שמסתובבות ב-WiFi שלכם, או אם אתם פשוט צריכים כלי מקצועי כדי... ניתוח תעבורת הרשת וזיהוי בעיות בחיבור שלך, בוודאי שמו של Wireshark כבר תפס את תשומת ליבך.

ובכן, במאמר זה תגלו בלי עקיפות כל הפרטים על Wiresharkמה זה, למה זה משמש ב-Windows, כיצד להתקין את זה, והטיפים הטובים ביותר לפני שמתחילים ללכוד נתונים. בואו ניגש לזה.

מה זה וויישארק? פירוק הטיטאן של ניתוח הרשתות

Wireshark הוא מנתח פרוטוקולי הרשת הפופולרי והמוכר ביותר בעולם.. כלי חינמי, קוד פתוח ורב עוצמה זה מאפשר לך ללכוד ולבדוק את כל תעבורת הרשת שעובר דרך המחשב שלך, בין אם מדובר במחשב Windows, Linux, macOS, או אפילו מערכות כמו FreeBSD ו-Solaris. בעזרת Wireshark, תוכלו לראות, בזמן אמת או לאחר הקלטה, בדיוק אילו חבילות נכנסות ויוצאות מהמחשב שלכם, המקור שלהן, היעד שלהן, הפרוטוקולים שלהן, ואפילו לפרק אותן כדי לקבל פרטים על כל שכבה בהתאם למודל OSI.

בניגוד להרבה אנליזטורים, Wireshark בולט בזכות הממשק הגרפי האינטואיטיבי שלו, אך מציע גם גרסת קונסולה עוצמתית בשם TShark עבור אלו המעדיפים את שורת הפקודה או צריכים לבצע משימות אוטומטיות. הגמישות של Wireshark זה מאפשר לך לנתח חיבור תוך כדי גלישה, לבצע ביקורות אבטחה מקצועיות, לפתור צווארי בקבוק ברשת, או ללמוד מאפס על איך פרוטוקולי אינטרנט עובדים, והכל מהמחשב האישי שלך!

הורד והתקן את Wireshark על Windows

התקנת Wireshark על Windows היא תהליך פשוט., אך מומלץ לעשות זאת צעד אחר צעד כדי לא להשאיר קצוות פתוחים, במיוחד בנוגע להרשאות ומנהלי התקנים נוספים ללכידה.

• הורדה רשמית: גישה ל האתר הרשמי של Wireshark ובחר את גרסת Windows (32 או 64 סיביות בהתאם למערכת שלך).
• הפעל את תוכנית ההתקנה: לחצו פעמיים על הקובץ שהורדתם ופעל לפי הוראות האשף. קבל את אפשרויות ברירת המחדל אם יש לך שאלות.
• נהגים חיוניים: במהלך ההתקנה, המתקין ישאל אותך התקן את Npcap. רכיב זה חיוני, מכיוון שהוא מאפשר לכרטיס הרשת שלך ללכוד חבילות במצב "פרומיקסקו". קבל את ההתקנה שלו.
• סיום והפעלה מחדש: לאחר השלמת התהליך, הפעל מחדש את המחשב כדי לוודא שכל הרכיבים מוכנים.

מוּכָן! כעת תוכל להתחיל להשתמש ב-Wireshark מתפריט התחל של Windows. שימו לב שתוכנית זו מתעדכנת לעתים קרובות, לכן מומלץ לבדוק אם יש גרסאות חדשות מעת לעת.

כיצד Wireshark עובד: לכידת והצגת חבילות

כשאתה פותח את Wireshark, הדבר הראשון שתראו הוא רשימה של כל ממשקי הרשת הזמינים במערכת שלכם.כרטיסי רשת קוויים, WiFi, ואפילו מתאמים וירטואליים אם אתם משתמשים במכונות וירטואליות כמו VMware או VirtualBox. כל אחד מהממשקים הללו מייצג נקודת כניסה או יציאה למידע דיגיטלי.

כדי להתחיל לאסוף נתונים, אתה רק צריך ללחוץ פעמיים על הממשק הרצוי. מאז, Wireshark יציג בזמן אמת את כל החבילות שמסתובבות לפי כרטיס זה, תוך מיון לפי עמודות כגון מספר חבילה, זמן לכידה, מקור, יעד, פרוטוקול, גודל ופרטים נוספים.

כאשר ברצונך להפסיק את הצילום, לחץ על כפתור עצירה אדום. ניתן לשמור את הצילומים שלך בפורמט .pcap לניתוח מאוחר יותר, שיתוף או אפילו ייצוא בפורמטים שונים (CSV, טקסט, דחוס וכו'). גמישות זו היא מה שהופכת Wireshark הוא כלי הכרחי הן לניתוח נקודתי והן לביקורות מלאות..

תחילת העבודה: טיפים לפני צילום צילום מסך ב-Windows

כדי להבטיח שהצילומים הראשונים שלך ב-Wireshark יהיו שימושיים ולא יתמלאו ברעש לא רלוונטי או בנתונים מבלבלים, ישנן מספר המלצות עיקריות שכדאי לבצע:

• סגור תוכניות מיותרותלפני תחילת צילום, יש לסגור יישומים שיוצרים תעבורת רקע (עדכונים, צ'אטים, תוכנות דוא"ל, משחקים וכו'). כך תמנעו מערבוב של תנועה לא רלוונטית.
• שלוט בחומת האשחומות אש יכולות לחסום או לשנות תעבורה. שקול להשבית אותו באופן זמני אם אתה מחפש לכידה מלאה.
• לכידת רק מה שרלוונטיאם ברצונך לנתח אפליקציה ספציפית, המתן שנייה או שתיים לאחר התחלת הצילום כדי להפעיל את האפליקציה, וערוך את אותו הדבר בעת סגירתה לפני עצירת ההקלטה.
• הכר את הממשק הפעיל שלךודא שבחרת את כרטיס הרשת הנכון, במיוחד אם יש לך מספר מתאמים או שאתה נמצא ברשת וירטואלית.

על ידי ביצוע ההנחיות הללו, צילומי המסך שלכם יהיו הרבה יותר נקיים ושימושיים לכל ניתוח נוסף..

פילטרים ב-Wireshark: איך להתמקד במה שחשוב באמת

אחת התכונות החזקות ביותר של Wireshark היא המסננים. ישנם שני סוגים בסיסיים:

• מסנני לכידההם מוחלים לפני תחילת הלכידה, מה שמאפשר לך לאסוף רק את התנועה שמעניינת אותך מההתחלה.
• מסנני תצוגהאלה חלים על רשימת החבילות שכבר נתפסו, ומאפשרים לך להציג רק את אלו שעומדות בקריטריונים שלך.

בין המסננים הנפוצים ביותר נמצאים:

• לפי פרוטוקולמסנן רק חבילות HTTP, TCP, DNS וכו'.
• לפי כתובת IPלדוגמה, הצג רק חבילות מכתובת IP ספציפית או אליה באמצעות ip.src == 192.168.1.1 o ip.dst == 8.8.8.8.
• לפי נמלמגביל את התוצאות ליציאה ספציפית (tcp.port == 80).
• לפי מחרוזת טקסט: מאתר חבילות המכילות מילת מפתח בתוך התוכן שלהן.
• לפי כתובת MAC, אורך חבילה או טווח IP.

בנוסף, ניתן לשלב מסננים עם אופרטורים לוגיים (ו, or, לֹא) לחיפושים מדויקים מאוד, כגון tcp.port == 80 ו-ip.src == 192.168.1.1.

מה ניתן ללכוד ולנתח עם Wireshark ב-Windows?

Wireshark הוא מסוגל לפרש יותר מ-480 פרוטוקולים שונים, החל מיסודות כמו TCP, UDP, IP, ועד לפרוטוקולים ספציפיים ליישומים, IoT, VoIP ועוד רבים אחרים. משמעות הדבר היא שתוכלו לבחון את כל סוגי תעבורת הרשת, החל משאילתות DNS פשוטות ועד להפעלות SSH מוצפנות, חיבורי HTTPS, העברות FTP או תעבורת SIP מטלפוניה באינטרנט.

בנוסף, Wireshark תומך בפורמטי לכידה סטנדרטיים כגון tcpdump (libpcap), pcapng ואחרים., ומאפשר לך לדחוס ולפתוח דחיסה של צילומי מסך תוך כדי תנועה באמצעות GZIP כדי לחסוך מקום. עבור תעבורה מוצפנת (TLS/SSL, IPsec, WPA2 וכו'), אם יש לכם את המפתחות הנכונים, תוכלו אפילו לפענח את הנתונים ולצפות בתוכן המקורי שלהם.

לכידת תנועה מפורטת: המלצות נוספות

לפני תחילת כל לכידה חשובה, יש לפעול לפי פרוטוקול זה כדי למקסם את התועלת של המידע שנאסף.:

• בחר את הממשק הנכוןבדרך כלל, המתאם הפעיל שלך יהיה זה עבור החיבור שבו אתה משתמש. אם יש לך ספקות, בדוק איזה מהם מחובר דרך הגדרות הרשת של Windows.
• הכינו את הסצנהפתח רק את התוכניות או האפליקציות שייצרו את התנועה שברצונך לנתח.
• לבודד את התופעהאם אתם רוצים לנתח את תנועת האפליקציות, בצעו את הרצף הבא: הפעילו את האפליקציה לאחר התחלת הצילום, בצעו את הפעולה שברצונכם לנתח וסגרו את האפליקציה לפני עצירת ההקלטה.
• שמור את צילום המסך: הפסק את ההקלטה, עבור אל קובץ > שמור ובחר .pcap או את הפורמט המועדף עליך.

כך תקבלו קבצים נקיים וקלים לניתוח, בלי שום תנועת זבל מעורבבת.

דוגמאות להמחשה: ניתוח תנועה עם Wireshark

נניח שיש לך שני מחשבים ברשת המקומית שלך ואחד מהם מפסיק לגשת לאינטרנט. אתה יכול להשתמש ב-Wireshark כדי ללכוד תעבורה מהמכונה הזו. ולבדוק אם יש שגיאות בפענוח כתובות DNS, אם חבילות אינן מגיעות לנתב, או אם חומת אש חוסמת את התקשורת.

מקרה טיפוסי נוסף: לזהות אם אתר אינטרנט אינו מצפין כראוי את פרטי ההתחברות שלך. אם תיכנסו לאתר אינטרנט ללא HTTPS ותפעילו מסנן HTTP בשילוב עם שם המשתמש שלכם, ייתכן שתראו את הסיסמה שלכם עוברת ברשת בצורה חלקה, הדגמה אמיתית של הסיכון של אתרים לא מאובטחים.

Wireshark ואבטחה: סיכונים, התקפות ואמצעי הגנה

כוחו של Wireshark הוא גם הסיכון הגדול ביותר שלו: בידיים הלא נכונות, זה יכול להקל על לכידת אישורים, ריגול או חשיפת מידע רגיש.. הנה כמה איומים והמלצות:

• מילוי אישורים (התקפות כוח ברוט על אישורים)אם אתם לוכדים תעבורת SSH, Telnet או שירותים אחרים, ייתכן שתראו ניסיונות התחברות אוטומטיים. שימו לב לסשנים ארוכים יותר (בדרך כלל הם מצליחים), לגודל החבילות ולמספר הניסיונות לזיהוי דפוסים חשודים.
• סיכון של תעבורה חיצוניתסנן את כל תעבורת ה-SSH שאינה מגיעה מהרשת הפנימית שלך: אם אתה רואה חיבורים מבחוץ, היה ערני!
• סיסמאות טקסט רגילאם אתר אינטרנט משדר שמות משתמש וסיסמאות לא מוצפנים, תראו זאת בצילום המסך. לעולם אל תשתמש ב-Wireshark כדי להשיג נתונים אלה ברשתות זרות. זכרו שעשיית דבר כזה ללא רשות היא עבירה על החוק.
• הסכמה וחוקיותמנתח רק תעבורה מרשתות משלו או עם אישור מפורש. החוק ברור מאוד בנושא זה, ושימוש לרעה עלול לגרום להשלכות חמורות.
• שקיפות ואתיקהאם אתם עובדים בסביבה ארגונית, יש ליידע את המשתמשים על הניתוח ומטרתו. כבוד לפרטיות חשוב לא פחות מאבטחה טכנית.

חלופות ל-Wireshark: אפשרויות נוספות לניתוח רשת

Wireshark הוא כלי ההתייחסות הבלתי מעורער, אך ישנם כלים נוספים שיכולים להשלים או, במצבים ספציפיים, להחליף את השימוש בו:

• tcpdumpאידיאלי לסביבות יוניקס/לינוקס, עובד משורת הפקודה. הוא קל משקל, מהיר וגמיש ללכידות מהירות או למשימות אוטומטיות.
• כריש ענניםפלטפורמת אינטרנט להעלאה, ניתוח ושיתוף של לכידות חבילות מהדפדפן. שימושי מאוד לסביבות שיתופיות.
• SmartSniffממוקד ב-Windows, קל לשימוש ללכידות נקודתיות ולצפייה בשיחות בין לקוחות לשרתים.
• קולה סופט קפסהמנתח רשתות גרפי שבולט בפשטות הממשק שלו ובאפשרויות ספציפיות לסריקת פורטים, ייצוא והדמיה קומפקטית.

בחירת האלטרנטיבה הטובה ביותר תלויה בצרכים הספציפיים שלך.מהירות, ממשק גרפי, שיתוף פעולה מקוון או תאימות עם חומרה ספציפית.

הגדרות מתקדמות: מצב פרומיסקוי, צג ופתרון שמות

מצב פרומיסקואי מאפשר לכרטיס הרשת ללכוד לא רק החבילות שיועדו לה, אלא כל התעבורה שעוברת דרך הרשת שאליה היא מחוברת. זה חיוני לניתוח רשתות ארגוניות, מרכזים משותפים או תרחישי בדיקות חדירה.

ב-Windows, עבור אל לכידה > אפשרויות, בחר את הממשק וסמן את התיבה מצב פרומיסקוי. קחו בחשבון שברשתות Wi-Fi, למעט חומרה ספציפית מאוד, תראו תעבורה רק מהמכשיר שלכם.

יתר על כן, זיהוי שמות ממיר כתובות IP לשמות דומיין קריאים (לדוגמה, 8.8.8.8 בכתובת google-public-dns-a.google.com). ניתן להפעיל או להשבית אפשרות זו דרך עריכה > העדפות > רזולוציית שמות. זה עוזר מאוד לזהות מכשירים במהלך סריקה, למרות שזה יכול להאט את התהליך אם יש הרבה כתובות שצריך לפענח.